Nuevas variantes de SparrowDoor: ataques dirigidos a organizaciones en Estados Unidos y México

El grupo de ciberespionaje chino conocido como FamousSparrow ha sido vinculado recientemente a una serie de ciberataques dirigidos contra una asociación comercial en Estados Unidos y un instituto de investigación en México. Estos ataques, observados en julio de 2024, supusieron el empleo de dos nuevas variantes del malware SparrowDoor, entre ellas una versión modular, y la adopción por primera vez de ShadowPad, un malware ampliamente utilizado por actores patrocinados por el Estado chino.

Evolución de las capacidades de SparrowDoor

Las nuevas variantes de SparrowDoor representan un avance significativo respecto a las versiones anteriores. Una de las versiones actualizadas incorpora funciones de paralelización de comandos, lo que permite la ejecución simultánea de operaciones como la E/S de archivos y el inicio de shells interactivas. Este enfoque mejora la eficiencia del malware, ya que le permite gestionar varias instrucciones al mismo tiempo.

La segunda variante introduce una arquitectura modular, con nueve plugins distintos que ofrecen funcionalidades avanzadas, entre ellas:

• Ejecución de comandos individuales
• Operaciones en el sistema de archivos
• Registro de pulsaciones de teclas (keylogging)
• Inicio de proxies TCP
• Sesiones de shell interactivas
• Transferencia de archivos entre el host comprometido y el servidor de mando y control (C&C)
• Captura de pantalla (screenshots)
• Gestión de los procesos en ejecución
• Supervisión de los cambios en el sistema de archivos

Cadena de ataque y vectores de infección

Los ataques aprovecharon vulnerabilidades en servidores Internet Information Services (IIS), en los que se instaló una web shell. Esta actuó como vector para descargar un script por lotes desde un servidor remoto, que posteriormente lanzó una web shell .NET codificada en Base64. Esta última distribuyó finalmente las variantes de SparrowDoor y ShadowPad.

Las organizaciones afectadas utilizaban versiones obsoletas de Windows Server y Microsoft Exchange Server, lo que pone de manifiesto la importancia de mantener los sistemas actualizados para prevenir este tipo de intrusiones.

Implicaciones y recomendaciones

La adopción de ShadowPad por parte de FamousSparrow indica una posible evolución en las tácticas del grupo, con un mayor intercambio de herramientas entre distintos actores patrocinados por el Estado chino. Las nuevas capacidades de SparrowDoor, en particular su arquitectura modular, aumentan la flexibilidad y la peligrosidad del malware.

Es fundamental que las organizaciones adopten medidas proactivas para proteger sus infraestructuras:

• Actualizar periódicamente los sistemas operativos y las aplicaciones para corregir las vulnerabilidades conocidas.
• Implantar soluciones de seguridad avanzadas para supervisar y detectar actividades sospechosas.
• Realizar auditorías de seguridad periódicas para identificar y mitigar posibles riesgos.

Para obtener más información, puede consultar el artículo original en The Hacker News